توفر قاعدة الخصوصية في قانون نقل التأمين الصحي والمساءلة (HIPAA) حماية فدرالية للمعلومات الصحية المحمية (PHI) التي تحتفظ بها الكيانات المغطاة، وتمنح المرضى مجموعة من الحقوق المتعلقة بهذه المعلومات.
تُلزم لوائح قانون نقل التأمين الصحي والمساءلة (HIPAA) الكيانات المشمولة وشركاءها في الأعمال، شركة Esri في هذه الحالة، عندما تقدم خدمات، بما في ذلك الخدمات السحابية للكيانات المشمولة، بإبرام عقود للتأكد من أن شركاء الأعمال هؤلاء سوف يحمون المعلومات الصحية الشخصية بشكل كافٍ. توضح هذه العقود، أو اتفاقية شراكة الأعمال (BAA)، وتقيد كيفية تعامل شريك العمل مع المعلومات الصحية الشخصية، وتحدد التزام كل طرف بأحكام الأمان والخصوصية المنصوص عليها في قانون HIPAA وقانون HITECH.
لا توجد حاليًا شهادة رسمية للامتثال لقانون HIPAA أو HITECH، وبدلاً من ذلك، تتوافق خدمات Esri المذكورة أدناه مع عناصر التحكم الأمنية وفقًا لمعايير NIST 800-53 التي تتماشى مع متطلبات قاعدة أمان HIPAA." يتمتع ArcGIS Online وEMCS Advanced Plus بتراخيص FedRAMP الرسمية.
خدمات Esri ضمن النطاق
- خدمات ArcGIS Online المؤهلة بموجب قانون HIPAA
- خدمات السحابة المُدارة من Esrii EMCS Advanced
- Esri Managed Cloud Services (EMCS) Advanced Plus
خدمات ArcGIS Online المتعلقة بقانون HIPAA
خدمة ArcGIS Online الأوَّلية التابعة لـ Esri والمؤهلة بموجب قانون HIPAA هي على وجه التحديد خدمة التكويد الجغرافي الخاصة بها، والمتوفرة على geocode.arcgis.com. ستدرج Esri الخدمات الإضافية المؤهلة بموجب قانون HIPAA هنا حيث يتم التحقق من صحتها للتوافق، بناءً على طلب العميل. تشمل القيود والمتطلبات الحالية المرتبطة بخدمة التكويد الجغرافي المؤهلة بموجب قانون HIPAA كفاءة دعم المواطنين في الولايات المتحدة فقط، والتكويد الجغرافي للعناوين الموجودة في الولايات المتحدة فقط، ومكالمات واجهة برمجة التطبيقات بدون مفتاح (يتم قبول تسجيلات الدخول إلى التطبيق أو حسابات المستخدمين فقط). لا تستطيع Esri تعديل اتفاقية شراكة الأعمال لمتطلبات العميل الفريدة التابعة لقانون HIPAA في ArcGIS Online نظرًا إلى كونها عرض برنامج كخدمة (SaaS) متعدد المستأجرين متوافقًا مع جميع العملاء.
EMCS Advanced و Advanced Plus
تعد خدمات Esri Managed Cloud Services (EMCS) Advanced وAdvanced Plus مستأجرًا واحدًا لـ ArcGIS Enterprise تقدمه خدمات Esri Professional Services. يقدم برنامج EMCS Advanced وAdvanced Plus القدرة على التفاوض بشأن شروط BAA الخاصة بالمؤسسة، ولكنه يستخدم بشكل افتراضي أيضًا اتفاقية BAA الخاصة بـ Esri المتوافقة مع HIPAA.
الأسئلة الأكثر شيوعًا بشأن قانون HIPAA في ArcGIS
فيما يلي الأسئلة المتداولة حول ArcGIS و HIPAA:
هل يمكن لمؤسسة ما إبرام اتفاقية شراكة أعمال (BAA) مع Esri ضمن قانون HIPAA مقابل اشتراك ArcGIS Online محدد؟
نعم. تقدم Esri للشركات المؤهلة أو مورديها اتفاقية BAA تغطي خدمات ArcGIS Online المؤهلة لـ HIPAA و/أو خدمات EMCS Advanced وAdvanced Plus والصيانة المرتبطة بها. يمكن لمدير حسابك طلب اتفاقية شراكة أعمال مع Esri.
ما الخدمات التي يمكنني استخدامها في مؤسسة ArcGIS Online الخاصة بي إذا كان لدي اتفاقية شراكة أعمال مع Esri؟
يمكنك استخدام أي خدمة من خدمات ArcGIS Online تم تحديدها كجزء من حساب HIPAA مؤسسي، ولكن يجب أن تعالج فقط المعلومات الصحية المحمية (PHI) وتخزنها وتنقلها في الخدمات المؤهلة بموجب قانون HIPAA والمحددة في اتفاقية BAA.
هل ستوافق Esri على استخدام اتفاقية شراكة الأعمال الخاصة بمؤسستي بدلاً من ذلك؟
بالنسبة لـ ArcGIS Online، لا، لا تستطيع Esri تعديل اتفاقية BAA ضمن قانون HIPAA، نظرًا إلى كون ArcGIS Online عرض برنامج كخدمة (SaaS) متعدد المستأجرين متوافقًا مع جميع العملاء. يجب أن تتبع Esri نفس الإجراءات مع الجميع. لتقليل المشكلات إلى الحد الأدنى، قامت Esri بالفعل بمراجعة ودمج مدخلات من اتفاقيات شراكة الأعمال للعملاء والزملاء من موفري SaaS من الحجم المتوسط إلى الكبير.
يقدم برنامج EMCS Advanced وAdvanced Plus القدرة على التفاوض بشأن شروط BAA الخاصة بالمؤسسة، ولكنه يستخدم بشكل افتراضي أيضًا اتفاقية BAA الخاصة بـ Esri المتوافقة مع HIPAA.
إذا كان العميل مضطرًا لاستخدام BAA الخاص به أو يحتاج إلى تخصيص كبير لـ BAA من Esri، يُوصى بأن يتواصل العميل مع مدير حسابه لمناقشة احتياجاته المتخصصة خارج نطاق ArcGIS Online، مثل النشر المحلي أو EMCS Advanced وAdvanced Plus لـ ArcGIS Enterprise.
هل وجود اتفاقية شراكة أعمال مع Esri يشير إلى أن المؤسسة متوافقة مع قانون HIPAA وقانون HITECH؟
لا، ليست الاتفاقية وحدها. ينطوي الامتثال لقانون HIPAA على العديد من المسؤوليات للكيان المشمول - المؤسسة الصحية التي تتعامل مع البيانات الحساسة. من خلال تقديم اتفاقية شراكة الأعمال، تساعد Esri في دعم امتثالك لقانون HIPAA، لكن استخدام خدمات Esri لا يحقق وحده هذا الامتثال. يتحمل العملاء مسؤولية التأكد من أن لديهم برنامج امتثال ملائم وعمليات داخلية مطبقة، وأن استخدامهم الخاص لخدمات Esri يتوافق مع قانون HIPAA وقانون HITECH. الأمر أكثر من مجرد برامج وخدمات؛ إنها عملية شاملة لمنع انتهاك الخصوصية.
كيف يمكن للمؤسسة تقييم مخاطر تكوينها لـ ArcGIS Online؟
يمكن للمؤسسات تقييم مخاطر تكوين ArcGIS Online الخاصة بها من خلال الاستفادة من مجموعة من الموارد والأدوات التي تقدمها Esri. تقدم Esri موارد مثل استبيان مبادرة تقييمات الإجماع (CAIQ) التابع لتحالف أمان السحابة (CSA) والمعلومات التفصيلية المتوفرة في مركز ثقة Esri، والتي تقدم رؤى شاملة حول ممارسات وضوابط الأمان المتبعة من قبل Esri. للتحقق من امتثال Esri، يمكن للمؤسسات مراجعة ترخيص FedRAMP المتاح في سوق FedRAMP. بالإضافة إلى ذلك، يمكن للمؤسسات إجراء اختبارات الأمان الخاصة بها بموجب شروط اتفاقية تقييم الأمان من Esri (SAA)، مما يتيح التحقق الفني من تكوين ArcGIS Online. للحصول على رؤى مستمرة حول الأمان والخصوصية، توفر Esri أداة ArcGIS Security Adviser، التي تتيح لمسؤولي المؤسسة إجراء تقييمات في الوقت الفعلي لوضع أمان ArcGIS Online الخاص بهم، مما يساعد المسؤولين على تحديد مشكلات الأمان المحتملة ومعالجتها بسرعة.
ما هو الدعم أو الصيانة المتاحان من خلال اتفاقية شراكة الأعمال مع Esri عبر الإنترنت؟
وباعتبارها متطلبًا تنظيميًا مقره الولايات المتحدة بشأن المعلومات الصحية المحمية إلكترونيًا (ePHI)، فإن العملاء الذين يوقعون على اتفاقية الشراكة التجارية سيستخدمون في البداية دعم Esri المخصص للأفراد في الولايات المتحدة فقط. يمكن توسيع هذا النوع من الدعم إلى الدعم العالمي القياسي في المستقبل حسب الطلب. في ظل الظروف العادية، لا تعرض كل من العمليات وموارد دعم العملاء مجموعات بيانات عملاء ArcGIS Online. إذا قرر أحد العملاء أنه بحاجة إلى مساعدة دعم Esri للوصول إلى مجموعة بيانات مرتبطة باشتراك ArcGIS Online يخضع لاتفاقية شراكة أعمال أو تنزيلها أو عرضها، فستتصل Esri بمورد خصوصية العميل المحدد مسبقًا للحصول على تخويل بالوصول.
ماذا لو كانت الخدمات التي أريدها غير مؤهلة حاليًا لقانون HIPAA؟
ستستمر Esri في إضافة الخدمات المؤهلة بموجب قانون HIPAA، وسيتم تحديث هذه الصفحة مع زيادة قائمة الخدمات المؤهلة لقانون HIPAA. من المستحسن للعملاء الذين لديهم احتياجات خدمة فورية غير مؤهلة لقانون HIPAA استخدام عرض ArcGIS Enterprise لتكملة احتياجات الخدمة عبر الإنترنت.
موارد
- إدارة معلومات الرعاية الصحية بنظم GIS (عام)
- تحقق من صحة أفضل الممارسات باستخدام أداة مستشار الأمان (أداة مركز الثقة العامة)
- ملخص لقاعدة الخصوصية بقانون HIPAA (عام)